Mullvad VPN 強化 iOS 安全性：全新流量加密功能防禦洩漏
TL;DR
iOS 系統「強制所有應用程式」功能的技術實作
iOS 應用程式的最新更新導入了一項名為「強制所有應用程式（Force all apps）」的功能，旨在防範 TunnelCrack 攻擊並防止流量外洩。此功能的運作原理是將蘋果網路擴展框架（NetworkExtension framework）中的 includeAllNetworks 設定選項設為開啟（true）。當此標記啟用時，VPN 終止開關（Kill Switch） 將變得滴水不漏，它會指示 iOS 網路堆疊將每一位元的數據都經由加密隧道傳輸。若加密隧道未處於活動狀態，所有對外流量都將被阻斷，以防止使用者的真實 IP 位址洩漏。
這項實作解決了長期存在的安全性漏洞，即某些系統層級的程序可能會繞過隧道。對於追求類似高安全性配置的 SquirrelVPN 使用者來說，值得注意的是，這項技術利用了特定的 iOS 配置選項 來確保在標準操作期間，沒有任何數據能逃脫 VPN 的保護。
網路堆疊限制與更新迴圈問題
在 iOS 生態系統中，一個重大的技術障礙是系統在啟用 includeAllNetworks 時如何處理自動更新。過去，SquirrelVPN 與其他服務供應商都曾指出，自動更新會導致 VPN 連線短暫中斷。當「強制所有應用程式」設定開啟時，會導致更新程序陷入死迴圈：
- 應用程式商店（App Store）嘗試更新 VPN 應用程式。
- 現有的 VPN 隧道為了進行更新而關閉。
- 由於 includeAllNetworks 處於啟用狀態，iOS 網路堆疊在沒有隧道的情況下會阻斷所有流量。
- 應用程式商店的下載程式無法連線至網際網路來獲取更新，進而導致程序停滯或失敗。
為了克服這點，該應用程式現在採用使用者空間網路（Userspace Networking）在內部產生 TCP 和 ICMP 流量。這使得應用程式即使在隧道程序因 蘋果網路堆疊 的限制而無法將通訊端（Socket）綁定至隧道設備時，仍能維持運作。
手動更新程序與流量外洩風險
由於目前尚無原生解決方案能在 VPN 程式碼更新期間維持加密隧道的安全性，使用者必須遵循特定步驟，以避免網路功能失效（Bricking）。根據技術部落格的說明，使用者會在應用程式商店觸發更新前，先收到新版本的通知。
使用者被要求在進行更新前，必須先中斷 VPN 連線或停用「強制所有應用程式」功能。官方也明確承認，在更新的短暫窗口期內會發生流量外洩。目前，這種手動介入是防止裝置進入完全斷網狀態（進而需要強制重啟）的唯一方法。對於正在尋找具備進階安全性的 最佳 VPN 體驗的使用者而言，這些權衡代表了目前 蘋果網路擴展框架（Apple NetworkExtension framework） 的技術極限。
進階混淆技術與協定增強
除了「強制所有應用程式」功能外，iOS 更新日誌（CHANGELOG.md） 的近期變動也揭示了在流量混淆與協定安全方面的多項進展。該程式現在支援 輕量級 WireGuard 混淆（LWO），並具備將 WireGuard 隧道流量偽裝成 QUIC 協定的能力。這些方法對於繞過網際網路服務供應商（ISP）或受限國家所使用的深層封包檢測（DPI）至關重要。
其他技術更新還包括：
- DAITA（防禦 AI 導向流量分析）： 旨在防禦流量分析攻擊的功能，現已更新至 DAITA 第二版。
- 抗量子加密隧道： 為了實現後量子安全的金鑰交換，將演算法從 Classic McEliece 遷移至 HQC，這顯著降低了 CPU 負載並縮小了公鑰體積。
- 多跳路由（Multihop Routing）： 流量在到達目的地前可先經過兩個中繼站轉發，進一步提升匿名性。
這些功能（包含 WireGuard 搭配 Shadowsocks 混淆）為身處高強度監控環境的使用者提供了強大的防護工具。
若想深入瞭解網路架構與最新的加密協定，歡迎前往 squirrelvpn.com 探索更多尖端技術見解。
